Go服务器中CORS预检请求的优雅处理指南

package main

import (
    "fmt"
    "net/http"
)

func AddResourceHandler(rw http.ResponseWriter, r *http.Request) {
    // 设置通用的CORS响应头，这些头对于所有请求（包括OPTIONS和实际请求）都可能需要
    rw.Header().Set("Access-Control-Allow-Origin", "http://localhost:3000") // 允许来自特定源的请求
    rw.Header().Set("Access-Control-Allow-Credentials", "true") // 允许发送Cookie等凭证

    switch r.Method {
    case "OPTIONS":
        // 处理预检请求
        rw.Header().Set("Access-Control-Allow-Methods", "PUT, OPTIONS") // 允许的HTTP方法
        rw.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization") // 允许的请求头
        rw.Header().Set("Access-Control-Max-Age", "86400") // 预检结果缓存时间，单位秒
        rw.WriteHeader(http.StatusOK) // 返回200 OK
        return // 终止请求处理

    case "PUT":
        // 处理实际的PUT请求
        fmt.Fprintf(rw, "Received PUT request for resource!")
        // 这里是实际业务逻辑
    default:
        http.Error(rw, "Method not allowed", http.StatusMethodNotAllowed)
    }
}

func main() {
    http.HandleFunc("/someresource/item", AddResourceHandler)
    fmt.Println("Server listening on :8080")
    http.ListenAndServe(":8080", nil)
}

package main

import (
    "fmt"
    "net/http"

    "github.com/gorilla/mux"
)

// PreflightHandler 专门处理OPTIONS请求
func PreflightHandler(rw http.ResponseWriter, r *http.Request) {
    rw.Header().Set("Access-Control-Allow-Origin", "http://localhost:3000")
    rw.Header().Set("Access-Control-Allow-Methods", "PUT, OPTIONS")
    rw.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
    rw.Header().Set("Access-Control-Allow-Credentials", "true")
    rw.Header().Set("Access-Control-Max-Age", "86400")
    rw.WriteHeader(http.StatusOK)
}

// ActualPutHandler 处理实际的PUT请求
func ActualPutHandler(rw http.ResponseWriter, r *http.Request) {
    rw.Header().Set("Access-Control-Allow-Origin", "http://localhost:3000") // 实际请求也需要设置CORS头
    rw.Header().Set("Access-Control-Allow-Credentials", "true")
    fmt.Fprintf(rw, "Received actual PUT request for resource!")
    // 实际业务逻辑
}

func main() {
    r := mux.NewRouter()

    // 为同一路径注册不同的处理器，根据HTTP方法区分
    r.HandleFunc("/someresource/item", ActualPutHandler).Methods("PUT")
    r.HandleFunc("/someresource/item", PreflightHandler).Methods("OPTIONS")

    fmt.Println("Server listening on :8080")
    http.ListenAndServe(":8080", r)
}

package main

import (
    "fmt"
    "net/http"
)

// corsMiddleware 是一个HTTP中间件，用于处理CORS预检请求并设置CORS响应头。
func corsMiddleware(next http.Handler) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        // 设置通用的CORS响应头，这些头对于所有请求（包括OPTIONS和实际请求）都可能需要
        // ⚠️ 注意：在生产环境中，"*" 可能存在安全风险，建议指定具体的源。
        // 例如：w.Header().Set("Access-Control-Allow-Origin", "http://localhost:3000")
        w.Header().Set("Access-Control-Allow-Origin", "*") 
        w.Header().Set("Access-Control-Allow-Credentials", "true")

        // 处理OPTIONS预检请求
        if r.Method == "OPTIONS" {
            // 允许的HTTP方法
            w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
            // 允许的请求头
            w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization, X-Requested-With")
            // 预检结果缓存时间，单位秒。在此时间内，浏览器无需再次发送预检请求。
            w.Header().Set("Access-Control-Max-Age", "86400") // 24小时
            w.WriteHeader(http.StatusOK) // 返回200 OK
            return // 终止请求处理，不继续执行后续的业务处理器
        }

        // 如果不是OPTIONS请求，则继续执行下一个处理器（即实际的业务逻辑处理器）
        next.ServeHTTP(w, r)
    }
}

// MyResourceHandler 是一个示例业务逻辑处理器
func MyResourceHandler(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "Hello from MyResourceHandler! Method: %s\n", r.Method)
    // 实际的业务逻辑...
}

func main() {
    // 创建一个普通的业务逻辑处理器
    myHandler := http.HandlerFunc(MyResourceHandler)

    // 使用corsMiddleware包装业务逻辑处理器
    // 所有发往 "/api/resource" 的请求都会先经过corsMiddleware处理
    http.Handle("/api/resource", corsMiddleware(myHandler))

    fmt.Println("Server listening on :8080")
    http.ListenAndServe(":8080", nil)
}